NIS2-Bußgelder: Was droht bei Nicht-Einhaltung?

Seit Dezember 2025 ist NIS2 in Deutschland in Kraft – und damit ein Sanktionsregime, das viele Geschäftsführer noch immer unterschätzen. Die NIS2 Bußgelder reichen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, und erstmals haftet die Geschäftsleitung persönlich. Wer NIS2 weiterhin als „IT-Thema" abtut, das man der IT-Abteilung überlassen kann, verkennt die rechtliche Tragweite vollständig.

Dieser Beitrag erklärt, welche Bußgelder NIS2 konkret vorsieht, warum die persönliche Haftung der Geschäftsleitung der eigentliche Paradigmenwechsel ist, welche Aufsichtsmaßnahmen das BSI ergreifen kann – und vor allem, wie Sie als betroffenes Unternehmen Sanktionen vermeiden. Rund 29.500 Unternehmen in Deutschland sind betroffen; viele wissen es noch nicht.

NIS2 ist in Kraft – kurze Einordnung

NIS2 ist die zweite EU-Richtlinie zur Netz- und Informationssicherheit. In Deutschland wurde sie über das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in nationales Recht überführt und ist seit Dezember 2025 in Kraft. Sie weitet den Kreis der regulierten Unternehmen massiv aus – von ehemals wenigen KRITIS-Betreibern auf rund 29.500 Unternehmen in zahlreichen Sektoren.

NIS2 unterscheidet zwei Kategorien betroffener Unternehmen, und diese Unterscheidung ist für die Höhe der Bußgelder entscheidend:

• Wesentliche Einrichtungen (essential entities) – größere Unternehmen in besonders kritischen Sektoren wie Energie, Transport, Banken, Gesundheit, Wasser oder digitale Infrastruktur.
• Wichtige Einrichtungen (important entities) – Unternehmen in weiteren regulierten Sektoren wie Post, Abfallwirtschaft, Chemie, Lebensmittel, verarbeitendes Gewerbe oder digitale Dienste, sowie kleinere Einrichtungen aus den kritischen Sektoren.

Ob Sie betroffen sind und in welche Kategorie Sie fallen, hängt von Sektor, Mitarbeiterzahl und Umsatz ab. Eine detaillierte Einordnung der deutschen Umsetzung finden Sie im Beitrag NIS2 in Deutschland.

Der Bußgeldrahmen im Detail

Die Höhe der NIS2 Bußgelder richtet sich danach, ob Sie eine wesentliche oder eine wichtige Einrichtung sind.

Wesentliche Einrichtungen: bis 10 Mio. € oder 2 %

Für wesentliche Einrichtungen sieht NIS2 Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Bei einem Konzern mit Milliardenumsatz kann die umsatzbezogene Variante also weit über die 10 Millionen hinausgehen.

Wichtige Einrichtungen: bis 7 Mio. € oder 1,4 %

Für wichtige Einrichtungen liegt der Rahmen niedriger, ist aber immer noch erheblich: bis zu 7 Millionen Euro oder 1,4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Diese Beträge orientieren sich bewusst am Sanktionsniveau der DSGVO – der Gesetzgeber will, dass Cybersicherheit den gleichen Stellenwert in der Vorstandsetage bekommt wie der Datenschutz. Wer die DSGVO-Bußgelder der vergangenen Jahre verfolgt hat, weiß, dass solche Rahmen keine theoretischen Drohkulissen bleiben.

Merksatz
Die Bußgelder bemessen sich am weltweiten Jahresumsatz der Unternehmensgruppe – nicht nur am Umsatz der betroffenen Einheit. Das macht die umsatzbezogene Variante für Konzerntöchter besonders gefährlich.

Der eigentliche Hebel: Persönliche Haftung der Geschäftsleitung

Bußgelder gegen das Unternehmen sind unangenehm – aber der wahre Paradigmenwechsel von NIS2 liegt in der persönlichen Verantwortung der Geschäftsleitung.

NIS2 verpflichtet Geschäftsführer und Vorstände ausdrücklich dazu, die Risikomanagement-Maßnahmen im Bereich Cybersicherheit zu billigen und ihre Umsetzung zu überwachen. Diese Pflicht lässt sich nicht vollständig nach unten delegieren. Die Geschäftsleitung muss sich aktiv mit dem Thema befassen, entsprechende Schulungen absolvieren und die Wirksamkeit der Maßnahmen verantworten.

Die Konsequenzen bei Verstößen:

• Persönliche Haftung der Leitungsorgane für Pflichtverletzungen – mit der Möglichkeit der Inanspruchnahme durch das eigene Unternehmen.
• Keine vollständige Enthaftung durch Delegation – „Das war Sache der IT" ist keine Verteidigung mehr.
• Nachweispflicht – die Geschäftsleitung muss belegen können, dass sie ihrer Überwachungspflicht nachgekommen ist.

Das verschiebt Cybersicherheit von einem technischen Thema im Maschinenraum zu einer Chefsache mit persönlichem Risiko. Geschäftsführer, die NIS2 ignorieren, riskieren nicht nur das Unternehmensbudget, sondern ihr Privatvermögen und ihre Reputation.

Praxis-Tipp
Dokumentieren Sie nachweisbar, dass sich Ihre Geschäftsleitung mit Cybersicherheit befasst: Beschlüsse zu Sicherheitsmaßnahmen, Teilnahme an Schulungen, regelmäßige Berichterstattung ans Leitungsgremium. Diese Nachweise sind im Ernstfall Ihre wichtigste Absicherung.

Aufsicht und Durchsetzung: Die Rolle des BSI

Zuständige Aufsichtsbehörde für NIS2 ist in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSI hat ein breites Instrumentarium, um die Einhaltung durchzusetzen – und Bußgelder sind nur das letzte Mittel.

Zu den Aufsichtsmaßnahmen gehören unter anderem:

• Vor-Ort-Prüfungen und Audits – das BSI kann die Umsetzung der Maßnahmen kontrollieren.
• Anforderung von Nachweisen – Dokumentation, Sicherheitskonzepte, Nachweise über durchgeführte Maßnahmen.
• Anweisungen und Auflagen – verbindliche Vorgaben zur Behebung von Mängeln innerhalb gesetzter Fristen.
• Sicherheitsaudits durch Dritte – das BSI kann unabhängige Prüfungen anordnen, die das Unternehmen zu bezahlen hat.
• Bei wesentlichen Einrichtungen sind sogar weitergehende Eingriffe möglich, bis hin zur vorübergehenden Untersagung von Leitungsfunktionen.

Wichtig ist die Registrierungs- und Meldepflicht: Betroffene Unternehmen müssen sich registrieren und Sicherheitsvorfälle innerhalb gesetzlicher Fristen melden – eine Erstmeldung typischerweise innerhalb von 24 Stunden, gefolgt von detaillierteren Folgemeldungen. Versäumte oder verspätete Meldungen sind selbst bußgeldbewehrt.

Beispiele: Wann Bußgelder drohen

Bußgelder fallen nicht automatisch an, weil ein Cyberangriff erfolgreich war. Sie drohen, wenn das Unternehmen seine Pflichten verletzt hat. Typische Konstellationen:

1. Keine oder unzureichende Risikomanagement-Maßnahmen. Das Unternehmen hat die geforderten technischen und organisatorischen Maßnahmen nicht umgesetzt – etwa kein Incident-Response-Konzept, kein Business-Continuity-Management, keine Lieferkettensicherheit.
2. Versäumte Registrierung. Ein betroffenes Unternehmen registriert sich nicht beim BSI und entzieht sich damit der Aufsicht.
3. Verspätete oder unterlassene Vorfallsmeldung. Ein meldepflichtiger Sicherheitsvorfall wird nicht oder zu spät gemeldet.
4. Ignorieren von BSI-Anweisungen. Das Unternehmen kommt einer behördlichen Auflage zur Mängelbehebung nicht nach.
5. Geschäftsleitung kommt Überwachungspflicht nicht nach. Es lässt sich nicht belegen, dass die Leitung die Maßnahmen gebilligt und überwacht hat.

Entscheidend ist: Bei der Bemessung des Bußgelds berücksichtigt die Aufsicht, ob das Unternehmen seine Pflichten ernst genommen hat. Ein dokumentiert sorgfältig arbeitendes Unternehmen, das trotz angemessener Maßnahmen Opfer eines Angriffs wird, steht deutlich besser da als eines, das Cybersicherheit schlicht ignoriert hat.

Wie Sie NIS2-Bußgelder vermeiden

Die gute Nachricht: NIS2-Bußgelder sind vermeidbar. Sie entstehen aus Pflichtverletzungen, nicht aus Pech. Wer seine Pflichten erfüllt und dies belegen kann, ist auf der sicheren Seite. Die wichtigsten Schritte:

1. Betroffenheit klären. Prüfen Sie zuerst, ob und als welche Kategorie Sie unter NIS2 fallen. Diese Frage hat Priorität vor allem anderen.
2. Registrieren und Meldewege etablieren. Registrieren Sie sich beim BSI und richten Sie einen funktionierenden Prozess für die fristgerechte Meldung von Vorfällen ein.
3. Risikomanagement-Maßnahmen umsetzen. Das ist der Kern: Risikoanalyse, Incident Management, Business Continuity, Backup-Konzepte, Zugriffskontrolle, Verschlüsselung, Lieferkettensicherheit. Ein sauberes Identity & Access Management ist dabei eine der wirksamsten Einzelmaßnahmen.
4. Geschäftsleitung einbinden und schulen. Verankern Sie Cybersicherheit auf Leitungsebene und dokumentieren Sie es nachweisbar.
5. Ein ISMS als Nachweisrahmen aufbauen. Ein Managementsystem nach ISO 27001 liefert Struktur und prüffähige Nachweise für nahezu alle NIS2-Anforderungen.

Praxis-Tipp
Nutzen Sie ein ISMS nach ISO 27001 als „Betriebssystem" für Ihre NIS2-Compliance. Es deckt einen Großteil der geforderten Maßnahmen ab und liefert die Dokumentation, die das BSI im Prüffall sehen will – ein Aufwand, drei Vorteile: Sicherheit, Nachweisbarkeit und vertragliche Verwertbarkeit.

Wie welabs Sie bei NIS2 unterstützt

NIS2-Compliance scheitert im Mittelstand selten am guten Willen, sondern an fehlender Struktur und Erfahrung mit regulatorischen Anforderungen. welabs bringt Konzern-Erfahrung in den Mittelstand und macht aus diffusen Pflichten ein konkretes, prüffähiges Sicherheitsniveau – ohne überdimensionierten Aufwand.

Wir unterstützen Sie konkret bei:

• NIS2-Betroffenheitsanalyse – Klärung, ob und als welche Kategorie Sie betroffen sind.
• Aufbau der geforderten Risikomanagement-Maßnahmen – inklusive Incident Management, Business Continuity und Lieferkettensicherheit. Details auf unserer Seite Compliance & ISMS.
• ISMS als NIS2-Nachweisrahmen – ISO-27001-konform, damit Sie gegenüber dem BSI prüffähig sind.
• Strategic Security Advisor (SSA) – Begleitung der Geschäftsleitung bei der Wahrnehmung ihrer Überwachungspflicht.

Sie sind unsicher, ob NIS2 für Sie gilt oder ob Ihre Maßnahmen ausreichen? Vereinbaren Sie ein kostenloses Erstgespräch – wir ordnen Ihre Situation ein und zeigen Ihnen, wo Handlungsbedarf besteht.

Fazit

Die NIS2 Bußgelder von bis zu 10 Millionen Euro und die persönliche Haftung der Geschäftsleitung sind keine theoretische Drohung, sondern seit Dezember 2025 geltendes Recht. Der Gesetzgeber hat Cybersicherheit bewusst auf das Sanktionsniveau der DSGVO gehoben und damit zur Chefsache gemacht – mit persönlichem Risiko für die Verantwortlichen.

Die entscheidende Erkenntnis: Diese Bußgelder sind vermeidbar. Sie entstehen aus Pflichtverletzungen, nicht aus erfolgreichen Angriffen. Wer seine Betroffenheit klärt, sich registriert, die geforderten Maßnahmen umsetzt und dies über ein ISMS nachweisbar dokumentiert, hat das Sanktionsrisiko im Griff. Der teuerste Weg ist, NIS2 weiter zu ignorieren und zu hoffen, dass weder Angriff noch Aufsicht vorbeikommen. Diese Wette geht selten gut aus.